Certification RGPD : ce qui existe et ce qu'apporte ISO 27701

Le règlement (UE) 2016/679, ou RGPD, ne prévoit aucun certificat attestant qu’une entreprise est « conforme au RGPD » dans son ensemble. Le principe de responsabilité (article 5, paragraphe 2, et article 24) impose au responsable du traitement de pouvoir démontrer lui-même sa conformité, traitement par traitement.

Le règlement organise en revanche des mécanismes de certification (articles 42 et 43). Ils portent sur des opérations de traitement précises, effectuées par des responsables du traitement ou des sous-traitants, et non sur l’organisation entière. Cette certification est volontaire. Elle est délivrée pour trois ans au plus, renouvelable, et retirée si les critères ne sont plus remplis. Elle ne diminue pas la responsabilité de l’organisme certifié.

Un document présenté comme « certification RGPD » qui ne repose sur aucun mécanisme approuvé n’a donc pas de valeur au sens du règlement, quel que soit son intitulé.

Un mécanisme repose sur des critères approuvés par l’autorité de contrôle compétente, la CNIL en France, ou par le Comité européen de la protection des données (CEPD). Quand le CEPD approuve des critères à l’échelle de l’Union, la certification peut devenir un label européen de protection des données (article 42, paragraphe 5). Le CEPD tient un registre public des mécanismes approuvés.

La certification est délivrée par un organisme de certification accrédité selon l’article 43, sur la base de la norme ISO/IEC 17065 complétée par des exigences propres à l’autorité de contrôle. La CNIL a publié les exigences d’agrément applicables aux organismes de certification.

À la date de rédaction (novembre 2026), trois repères ressortent.

• Europrivacy a été le premier label européen de protection des données, approuvé par le CEPD en octobre 2022 (avis 28/2022). En avril 2026, le CEPD a rendu deux nouveaux avis sur ses critères, dont l’un le reconnaît comme outil d’encadrement des transferts de données hors de l’Union.
• En France, la CNIL a approuvé le 10 juillet 2025 (délibération n° 2025-064) les critères d’un mécanisme national généraliste, ouvert aux responsables du traitement de tous secteurs. Les traitements réalisés en qualité de sous-traitant en sont exclus.
• Pour les sous-traitants, la CNIL a soumis à consultation publique, jusqu’au 28 février 2025, un projet de référentiel de certification. Nous n’en avons pas trouvé de version définitive adoptée à la date de rédaction.

La CNIL a adopté en septembre 2018 deux référentiels : l’un fixe les compétences et savoir-faire attendus d’un délégué à la protection des données (DPO), l’autre les conditions d’agrément des organismes qui certifient ces compétences.

La certification est délivrée par un organisme agréé par la CNIL, après vérification de conditions d’expérience et réussite à un examen écrit. Elle est valable trois ans. Elle n’est pas obligatoire pour exercer la fonction de DPO.

Il s’agit d’une certification de personnes. Elle atteste des compétences d’un individu, pas de la conformité des traitements de l’organisation qui l’emploie.

ISO/IEC 27701 fixe les exigences d’un système de management de la protection de la vie privée, appelé PIMS (privacy information management system). La norme traite le rôle de l’organisation, responsable du traitement ou sous-traitant, l’identification des données à caractère personnel traitées, l’appréciation des risques pour les personnes concernées, les droits des personnes, la protection de la vie privée dès la conception, les relations avec les sous-traitants, les transferts et la gestion des violations de données.

L’édition 2019 était une extension d’ISO/IEC 27001 et d’ISO/IEC 27002. Elle ne pouvait être certifiée qu’avec un système de management de la sécurité de l’information (SMSI) certifié ISO 27001.

L’édition 2025, publiée le 14 octobre 2025, remplace l’édition 2019. Elle devient une norme autonome, structurée comme les autres normes de systèmes de management (chapitres 4 à 10), qui reprend des éléments d’ISO/IEC 27001:2022 et d’ISO/IEC 27002:2022. Elle peut être certifiée sans certificat ISO 27001 préalable. Les certificats délivrés selon l’édition 2019 restent valides pendant une période de transition, dont les dates sont fixées par les règles des organismes d’accréditation.

Une organisation déjà certifiée ISO 27001 peut faire auditer les deux systèmes ensemble. Les données personnelles étant une catégorie d’information, une grande partie des processus de sécurité est commune.

Un certificat ISO 27701 atteste qu’un organisme de certification a audité le système de management de la vie privée et l’a jugé conforme à la norme, sur un périmètre et pour un rôle définis. L’audit suit ISO/IEC 17021-1, comme pour les autres certifications de systèmes de management.

Le certificat apporte une preuve externe utile pour le principe de responsabilité. Pour un sous-traitant, il fait partie des éléments qu’un responsable du traitement examine quand il évalue ce sous-traitant au regard de l’article 28. Dans les secteurs où les données sont sensibles, comme la santé ou l’hébergement et le cloud, il complète ISO 27001 et HDS.

ISO 27701 n’est pas un mécanisme de certification approuvé au sens de l’article 42. Le certificat n’atteste donc pas la conformité au RGPD. Il ne se prononce ni sur la licéité de chaque traitement, ni sur ses bases légales, et il ne remplace ni le registre des activités de traitement, ni les analyses d’impact, ni la notification des violations à la CNIL. La CNIL conserve l’ensemble de ses pouvoirs de contrôle et de sanction à l’égard d’une organisation certifiée.

Certi-Trust réalise la certification ISO 27701, ainsi que la certification ISO 27001. Organisme d’évaluation, il ne conseille pas les organisations qu’il certifie, conformément à ISO/IEC 17021-1. Pour préciser le périmètre et l’édition de la norme visés, vous pouvez échanger avec un auditeur.

La CNIL délivre-t-elle une certification RGPD ?
La CNIL approuve des critères de certification et agrée les organismes qui délivrent les certifications, comme pour la certification des compétences du DPO. Elle ne délivre pas de certificat de conformité globale d’une entreprise, qui n’existe pas dans le RGPD.

Faut-il être certifié ISO 27001 pour obtenir ISO 27701 ?
Avec l’édition 2019, oui : la norme était une extension d’ISO 27001. Avec l’édition 2025, non : la norme est autonome et peut être certifiée seule, ou avec ISO 27001 lors d’un audit combiné.

Un certificat ISO 27701 vaut-il conformité au RGPD ?
Non. Il atteste qu’un système de management de la vie privée est conforme à la norme. Il apporte une preuve externe de l’organisation mise en place, sans valoir conformité des traitements au règlement.

Combien de temps dure une certification au titre de l’article 42 ?
Trois ans au plus, renouvelable dans les mêmes conditions tant que les critères restent remplis. Une certification ISO 27701 suit le cycle habituel des systèmes de management : trois ans, avec des audits de surveillance annuels.